CVE-2026-48053
ŚrednieCVSS 5.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 21 - wyżej niż 21% wszystkich znanych CVE
Streszczenie
Kolibri to platforma edukacyjna działająca w trybie offline. Przed wersją 0.19.4 kilka punktów końcowych API Kolibri akceptuje niezweryfikowany parametr `baseurl` i pobiera adresy URL kontrolowane przez atakującego z serwera Kolibri, odzwierciedlając treść odpowiedzi z powrotem do wywołującego. Oryginalny raport zidentyfikował dwa punkty końcowe w widokach `RemoteFacilityUser*`; podczas przeglądu naprawy znaleziono dwa kolejne punkty odbicia w tym samym wzorcu. Punkt końcowy GET był nieuwierzytelniony. Wersja 0.19.4 naprawia tę podatność.
Ocena ryzyka
Atakujący może wykorzystać nieuwierzytelniony punkt końcowy do odczytu wrażliwych danych lub przeprowadzenia ataków typu SSRF, co może prowadzić do naruszenia poufności i integralności danych w organizacji.
Rekomendacja
Zaleca się natychmiastową aktualizację Kolibri do wersji 0.19.4 lub nowszej, aby wyeliminować podatność.
Oryginalny opis (angielski, źródło NVD)
Kolibri is an offline-first education platform. Prior to version 0.19.4, several Kolibri API endpoints accept an unvalidated `baseurl` parameter and fetch attacker-controlled URLs from the Kolibri server, reflecting the response body back to the caller. The original report identified two endpoints on the `RemoteFacilityUser*` viewsets; remediation review found two further reflection points on the same pattern. The GET endpoint was unauthenticated. Version 0.19.4 fixes the vulnerability.